情報処理安全確保支援士 2022年 秋期 午前2 問05

SYNフラッド（IPスプーフィング）【午前2解説】

正解の理由

解法ステップ

1. パケット種別を確認：SYN/ACKは「サーバのSYN応答」であると理解する。
2. 送信元ポートが80/tcpであることから、SYN/ACKの送信元はHTTPサーバ等の「応答側（サーバ）」であると判断。
3. 宛先が未使用IPである点に注目。未使用IPは正常なクライアントが存在しないため、その宛先からの正当なSYNはあり得ない。
4. 結論：未使用IPを送信元に偽装したSYNがAに届き、Aがそれらに対してSYN/ACKを返している。大量発生＝リソース枯渇の恐れがあり、AがDoSの被害者であると判断する（ア）。

選択肢別の誤答解説

• ア（正解）
  Aが大量のSYNに応答している状況と一致する。宛先が未使用IPである点が「送信元偽装」を示し、Aが被害者のSYNフラッド型DoSである。
• イ（Aを攻撃先とするパスワードリスト攻撃）
  パスワードリスト攻撃（ブルートフォース）はTCPの上で認証プロトコルに対する試行が観測されるはずで、SYN/ACK大量送出のパターンとは異なる。送信元ポート80やSYN/ACKという痕跡は認証試行を示さない。
• ウ（Aを攻撃元とするサービス妨害攻撃）
  観測されるのはAから未使用IPへのSYN/ACK応答であり、これはAが「応答を送っている」状態を示す。Aが攻撃の発信源のように見えるのは確かだが、その原因はA自身が偽装されたSYNに応答していることであり、Aが能動的に他を攻撃している証拠ではない。
• エ（Aを攻撃元とするパスワードリスト攻撃）
  同様に、SYN/ACKの大量観測はパスワードリスト攻撃の典型的痕跡ではない。送信元ポートやフラグの情報が一致しない。

よくある誤解

• SYN/ACKが観測される＝Aが攻撃者だと決めつける誤り
  送信元IPがAでも、そのIPが偽装されている（spoofed）可能性が高い。送信元表示が常に実際の送信者を示すわけではない。
• 反射攻撃（リフレクション）と混同する誤り
  反射攻撃では攻撃者が第三者（反射器）に対して送信元を被害者に偽装して問い合わせを送り、反射器が被害者に大量のレスポンスを返す。今回のケースはAが応答を送っている点で異なり、Aが反射器からのレスポンスを受けるのではなく、A自身が大量の応答を送信している。
• 送信元ポート80＝HTTP攻撃と短絡する誤り
  ポート番号は役割（サーバ/クライアント）を示す手がかりにはなるが、攻撃の目的（認証突破など）を直接示すものではない。ここでは「サーバ側応答」であることの確認に使うのが適切。

補足コラム

FAQ